Ghi chép từ Việt Nam về pháp luật, công nghệ, ngôn ngữ, lịch sử, văn hóa và du lịch.

Microsoft: nhóm tin tặc thân Trung Quốc dùng AI agent tấn công chuỗi cung ứng ConnectWise, hơn 2.250 tenant bị nhắm

Hai năm qua, “tấn công mạng bằng AI” chủ yếu có nghĩa là email lừa đảo viết trơn tru hơn, hoặc tin tặc mở chatbot để nghiên cứu lỗ hổng nhanh hơn. Ngày thứ Tư, 21/10/2026, Microsoft công bố bản mô tả chi tiết nhất từ trước tới nay về một kiểu tấn công khác hẳn. Trong chiến dịch này, theo lời Microsoft, chính các AI agent (tác tử AI) hoạt động thay mặt tin tặc đã dò mật khẩu hàng loạt, đăng nhập vào tenant (không gian riêng của từng tổ chức trên Microsoft 365/Entra ID) của khách hàng bằng thông tin xác thực ứng dụng bị đánh cắp, rồi sửa đổi thư mục người dùng. Tốc độ đó không đội tin tặc nào làm thủ công theo kịp.

Báo cáo do Microsoft Threat Intelligence và Microsoft Security Research thực hiện. Chiến dịch được quy cho Storm-0940, mà Microsoft mô tả là “tác nhân thân nhà nước Trung Quốc, không có tên gọi khác trong ngành, hoạt động từ năm 2021”. Microsoft cũng đánh giá nhóm này “chịu trách nhiệm cho vụ xâm phạm chuỗi cung ứng ConnectWise vừa được công bố”. Công cụ trung tâm của vụ việc là ARTEX, một framework kiểm thử xâm nhập (pentest) mã nguồn mở vốn được làm ra cho phía phòng thủ.

Diễn biến theo thời gian

Mốc thời gian dưới đây lấy từ bài của Microsoft. Các động thái của ConnectWise lấy theo CyberScoop.

  • Từ khoảng tháng 9/2026: Storm-0940 bắt đầu dùng ARTEX nhắm vào “hàng trăm tổ chức trên toàn cầu”. Các lĩnh vực bị nhắm rất rộng: hàng không vũ trụ và quốc phòng, ô tô, hoá chất, năng lượng, tài chính, cơ quan chính phủ, pháp lý, sản xuất, truyền thông, bán dẫn, phần mềm, các viện nghiên cứu chính sách…
  • 10–14/10: một đợt password spray (thử một vài mật khẩu phổ biến trên rất nhiều tài khoản) từ một nhóm nhỏ địa chỉ IP nhắm vào 327 tài khoản tại 8 tổ chức, cao điểm ngày 11/10. Microsoft ghi nhận hơn 151.000 lượt đăng nhập thất bại, cao nhất 2.900 lượt mỗi phút, riêng một ngày hơn 111.000 lượt. Đợt này không có lần đăng nhập nào thành công. Hậu quả chính là hàng loạt tài khoản bị khoá.
  • 15–16/10: Huntress báo cáo dịch vụ sao lưu đám mây của ConnectWise bị xâm nhập. Ngày 16/10, ConnectWise công bố có truy cập trái phép vào tenant khách hàng thông qua nhiều danh tính ứng dụng OAuth của ConnectWise. Một IP trong cảnh báo của ConnectWise trùng khớp hoàn toàn với hạ tầng của đợt dò mật khẩu.
  • Thứ Bảy, 17/10: ConnectWise tạm ngừng dịch vụ. Ngày 21/10, công ty bắt đầu khôi phục từng phần, đồng thời khuyên khách hàng giữ các kết nối ở trạng thái tắt vì quá trình khôi phục dự kiến kéo dài vài ngày.
  • 21/10: Microsoft công bố kết luận quy trách nhiệm.

Với giai đoạn ConnectWise, Microsoft đưa ra con số “hơn 2.250 tenant với tốc độ 2.900 lượt đăng nhập mỗi phút”. Có trường hợp “hơn 200 lượt đăng nhập trong chưa đầy 4 phút, dùng 4 thông tin xác thực ứng dụng”. Ở một số vụ xâm nhập do ARTEX điều khiển, “thời gian từ lúc bắt đầu nhắm mục tiêu tới khi có quyền đặc quyền là dưới 3 giờ”.

ARTEX là gì

Microsoft mô tả ARTEX là “framework kiểm thử xâm nhập mã nguồn mở, có thể dùng bất kỳ mô hình AI nào để tự động hoá nhiều quy trình tấn công”. Về kỹ thuật, đây là “hệ thống LLM nhiều agent viết bằng Go, giao diện Next.js”. Trong lúc chạy, các agent ghi những tài sản và lỗ hổng tìm được vào một đồ thị dùng chung, để agent đi sau lập kế hoạch dựa trên phát hiện của agent đi trước. Giao diện mặc định là tiếng Anh, có thể chuyển sang tiếng Hàn, tiếng Trung, tiếng Tây Ban Nha hoặc tiếng Nhật.

Lịch sử của dự án vốn đã khá rối. Theo Zscaler và Cloud Security Alliance, ARTEX xuất hiện trên GitHub cuối tháng 7/2026 theo giấy phép AGPL-3.0, do một lập trình viên Trung Quốc phát hành. Đầu tháng 10, CrowdStrike liên hệ công cụ này với một chiến dịch tấn công các tổ chức tài chính Hàn Quốc. Theo các báo cáo, vụ đó làm lộ dữ liệu cá nhân của hàng chục nghìn người. Technology.org đưa tin CrowdStrike còn tìm thấy file làm việc của nghi phạm, gồm cả lịch sử phiên Claude Code bên cạnh cấu hình ARTEX. Sau đó, tác giả tuyên bố đóng mã nguồn ARTEX và ngừng phát hành công khai. Điều này chỉ chặn được các bản cập nhật về sau, còn các bản fork (bản sao) của mã vẫn nằm trên GitHub. Zscaler cũng lưu ý ARTEX có danh sách chặn mặc định để không tấn công mạng của cơ quan chính phủ và trường đại học, nhưng không có cơ chế tương tự cho ngân hàng.

Nói cách khác, đây không phải vũ khí mạng do nhà nước tự chế. Đây là một công cụ công khai dành cho bên phòng thủ, có LLM làm bộ lập kế hoạch, và ai tải về cũng dùng được nguyên trạng. Microsoft cho biết đã thấy “tác nhân đe doạ ở nhiều khu vực địa lý” sử dụng ARTEX.

Chuỗi tấn công lập trình viên cần để ý

Phần đáng giá nhất của báo cáo lại ít liên quan tới AI. Đó là chuyện lạm dụng ứng dụng OAuth.

Giống nhiều nhà cung cấp SaaS, ConnectWise chạy các ứng dụng đa tenant mà khách hàng chỉ cần chấp thuận một lần trong Microsoft Entra ID. Từ đó, service principal (danh tính đại diện của ứng dụng trong tenant) có thể gọi Microsoft Graph với quyền app-only, không cần người dùng đăng nhập và không có bước MFA. Khi Storm-0940 đã nắm “danh tính của nhiều ứng dụng đám mây ConnectWise”, các agent chỉ việc xác thực vào từng tenant khách hàng bằng cách tận dụng “niềm tin đã được thiết lập sẵn của các ứng dụng này”. Theo Microsoft, cách này “cho phép tin tặc hoạt động mà không cần bất kỳ lượt đăng nhập tương tác nào của người dùng”.

Ở một số tenant, các agent còn đi xa hơn. Chúng do thám qua Graph, thêm thông tin xác thực vào ứng dụng để duy trì truy cập lâu dài, rồi thay đổi người dùng, nhóm và vai trò đặc quyền. Một quy tắc phát hiện của Microsoft mô tả trường hợp một ứng dụng quản trị của ConnectWise “tự gán cho chính nó vai trò Global Administrator”.

Đây là chỗ tự động hoá tạo ra khác biệt. Lần lượt đưa 2.250 tenant qua chuỗi liệt kê → kiểm tra quyền → cài cửa hậu → leo thang đặc quyền là việc lặp đi lặp lại và chậm nếu do người làm. Với một vòng lặp agent có đồ thị phát hiện dùng chung, đó chỉ là một tác vụ chạy hàng loạt. Như Microsoft viết, agent “có thể làm việc suốt ngày đêm, cả cuối tuần lẫn ngày lễ, và thử nhiều đường xâm nhập cùng lúc”.

Những điều Microsoft không khẳng định

Bài viết của Microsoft khá thận trọng, và các giới hạn này cần nêu rõ:

  • Quy trách nhiệm là đánh giá, chưa phải sự thật đã chứng minh. Microsoft không công bố bằng chứng nối Storm-0940 với một cơ quan nhà nước cụ thể.
  • Mức độ tự chủ không được định lượng. ARTEX chạy “với rất ít sự can thiệp của con người”, nhưng Microsoft không nói con người đã điều khiển các vụ xâm nhập này tới mức nào. “Do AI điều khiển” ở đây nghĩa là một framework agent LLM làm phần thao tác trực tiếp, chứ không có nghĩa là không có người đứng sau.
  • Thiệt hại chưa rõ. Microsoft nói “phần lớn các lần nhắm mục tiêu không thành công”. Việc có ứng dụng bị ảnh hưởng hay có lần đăng nhập thành công “không nhất thiết có nghĩa là dữ liệu khách hàng đã bị truy cập hoặc đánh cắp”. Cả Microsoft lẫn ConnectWise đều chưa nói bao nhiêu khách hàng mất dữ liệu.
  • Thông tin xác thực ứng dụng bị lấy bằng cách nào chưa được giải thích trong bài của Microsoft.
  • Con số 2.900 lượt mỗi phút xuất hiện ở cả cao điểm đợt dò mật khẩu lẫn tốc độ đăng nhập vào tenant ConnectWise. Bài viết không làm rõ đó có phải cùng một phép đo hay không.

Microsoft cũng nhấn mạnh hoạt động này “không xuất phát từ việc hệ thống, sản phẩm hay dịch vụ của Microsoft bị xâm phạm hoặc có lỗ hổng”.

Vì sao đáng chú ý

Đầu tháng này, báo cáo thường niên Digital Defense Report của Microsoft cảnh báo kẻ tấn công đang áp dụng AI nhanh hơn bên phòng thủ. Báo cáo lần này là bằng chứng thực tế cho cảnh báo đó. Có ba bài học rõ nhất:

  1. Chi phí tấn công diện rộng đã giảm mạnh. Framework agent không cần giỏi hơn một tin tặc lành nghề. Nó chỉ cần không biết mệt và chạy song song được. Những lớp phòng thủ dựa vào việc kẻ tấn công nản lòng, như khoá tài khoản chậm hay suy nghĩ “chẳng ai thèm để ý tenant nhỏ của mình”, đang mất dần tác dụng.
  2. Danh tính máy là điểm yếu. Service principal, ứng dụng OAuth và API secret được thiết kế để bỏ qua MFA. Nếu bạn làm ứng dụng đa tenant, thông tin xác thực của ứng dụng thực chất là chìa khoá vào mọi khách hàng đã cấp quyền cho nó. Chỉ xin những quyền Graph tối thiểu, ưu tiên chứng chỉ hoặc federated credential thay cho secret dùng lâu dài, xoay vòng định kỳ, và đặt cảnh báo khi có thông tin xác thực mới được thêm vào app registration của chính bạn.
  3. Công cụ lưỡng dụng đã thành bài toán chính sách thực sự. Chưa đầy ba tháng, ARTEX đi từ bản phát hành trên GitHub tới vụ tấn công ngân hàng, rồi tới một chiến dịch chuỗi cung ứng của nhóm thân nhà nước. Việc đóng mã nguồn diễn ra khi các bản fork đã có sẵn. Sắp tới nhiều khả năng sẽ có thêm sức ép lên các agent tấn công mã nguồn mở, và lên cả các nhà cung cấp model có API chạy những agent đó.

Với quản trị viên tenant, khuyến nghị trước mắt của Microsoft rất cụ thể. Giữ các kết nối ConnectWise ở trạng thái tắt cho tới khi nhà cung cấp hướng dẫn khôi phục. Tra log đăng nhập và log kiểm toán theo application ID chứ không theo tên hiển thị, ngược về ít nhất ngày 15/10, tốt nhất từ 1/10. Lưu giữ bằng chứng trước khi xoá ứng dụng doanh nghiệp. Rà soát thông tin xác thực mới, các lần cấp quyền (consent) và gán vai trò trên service principal.

Câu hỏi còn bỏ ngỏ là bao nhiêu chiến dịch khác sẽ có hình dạng giống vụ này. Phó chủ tịch điều hành Microsoft Igor Tsyganskiy viết: “Từ đầu tháng 10, một làn sóng tấn công mạng do AI điều khiển vẫn đang diễn ra”, và vụ ConnectWise chỉ là “một trong nhiều vụ”.

Nguồn